论文部分内容阅读
以移动IPv6为基础的移动互联网是未来网络的发展方向，移动互联网采取无线接入方式，使得无处不在的网络接入成为可能。无线移动网络因其具有支持漫游、使用简单、部署灵活、易于扩展等优点，在众多领域得到了广泛的应用。移动IPv6网络的开放性和移动性为用户随时随地使用网络提供了方便，同时也使用户和网络暴露于各种安全威胁之中，增大了网络的安全风险；另一方面，移动IPv6没有提供对移动用户进行身份认证以及实现消息安全传输的保证机制，限制了移动IPv6的部署和应用。
网络接入控制基于网络策略对网络接入进行控制，能够在网络上实时执行动态策略管理，从源头上限制非法用户使用网络，是实施网络安全防护的第一步。移动IPv6网络往往按照管理者或者地理位置的不同划分成不同的管理域，用户可以在任意位置接入网络，各个管理域之间应该相互协作实现对用户的接入控制。域间信任关系是管理域之间相互协作的一种约定，在用户跨域移动接入过程中，不同域的管理实体之间进行交互，利用域间信任机制对用户接入进行灵活控制，可以满足移动用户跨域接入的应用和安全需求。
移动IPv6的设计目标是为用户提供移动过程中的无中断通信，保障切换性能是移动IPv6实用化的首要因素，在移动IPv6网络中引入接入控制的关键在于如何保证安全切换的性能，尤其是保证用户跨域接入控制的切换性能。本文关注移动IPv6网络用户跨域移动过程的接入控制，主要考虑以下问题：基于安全性高、计算复杂度低的组合公钥密码学，设计用户和网络之间的签名和验证算法；基于上述签名和验证算法，设计用户和网络之间的双向认证机制；考虑域间信任关系在跨域接入认证中的作用，设计域间信任关系动态维护机制，并通过选择可信接入域避免无效后续认证，提高认证效率。论文的成果和创新点主要体现在以下几个方面：
1.提出基于组合公钥密码学(Combined Public Key，CPK)的时间复杂度简化的签名和验证算法。该算法涉及的运算类型包括：基本模运算、3次椭圆曲线上的点乘操作和1次哈希操作，时间复杂度比基于身份密码学的签名和验证算法更低。该算法利用CPK基于用户标识的特点，可以用于高效实现用户和网络的双向认证，是本文提出的基于CPK的快速认证方法和结合信任机制的快速认证方法的算法基础。
2.提出基于CPK的快速认证方法。该方法将基于CPK的签名和验证算法用于快速认证阶段，实现了用户和网络之间的快速双向认证。安全性分析表明，该方法中私钥的机密性建立在安全算法私钥种子矩阵和哈希函数安全保密的基础上，同时提出的签名机制可以有效防止中间人攻击，时间戳的加入可以防止重放攻击，认证安全性的前提可以得到保证。性能分析表明，在保证认证安全的前提下，该方法的总认证切换延时总是小于基于身份密码学的快速认证方法；在接入域和家乡域的传输延时大于8ms，或者安全处理时间小于7ms的情况下，该方法的总认证切换延时小于基本快速认证方法，在接入域到家乡域的传输延时为20ms，安全处理时间为8ms时，减小幅度达37.5％；同时，该方法的总信令开销总是小于基本快速认证方法，随着MN认证请求平均到达率的提高，信令开销的优势增大。
3.提出结合信任机制的快速认证方法。该方法在动态维护域间信任关系的基础上，在用户跨域移动的切换过程中选择可信域接入，从而避免无效后续认证。安全性分析表明，该方法中私钥的机密性可以得到保证，可以抵抗重放攻击、中间人攻击等常见攻击，认证安全性的前提可以得到保证。性能分析表明，在保证认证安全的前提下，在接入域全部可信时，该方法与基于CPK的快速认证方法性能类似；在接入域部分可信时，随着一次有效认证接入域和家乡域所需要的交互次数的增加，该方法的总认证切换延时基本保持恒定，而其他方法则随着交互次数的增加呈线性增长趋势。在信令开销方面，在可用接入域个数大于两个之后，该方法的总信令开销小于基于身份密码学的快速认证方法.比如在接入域和家乡域的跳数为4、可用接入域的个数为5、3/8的接入域可信的情况下，该方法减小大约50％的信令开销。